PDF処理ソフト「Ghostscript」の深刻な脆弱性 - 詳細が明らかに

PDFやPostScriptを処理する「Ghostscript」に、任意のコード実行や権限昇格につながる複数の脆弱性の詳細情報が公開された。脆弱性は2026年9月のアップデートで修正されている。

「Ghostscript」は、PDFやPostScriptの描画、変換などに利用されるソフトウェア。「同10.08.0」より前のバージョンにおいて、ヒープバッファオーバーフローの脆弱性「CVE-2026-39919」と、Windows版における権限昇格の脆弱性「CVE-2026-19547」が確認された。

「CVE-2026-39919」は、「JPEG 2000」画像の処理に起因する脆弱性。画像コンポーネント間で解像度が異なり、8ビット未満のサンプル精度で処理する場合に、確保した領域を超えてデータが書き込まれ、メモリ破壊が発生する。細工したPDFを処理させることで、任意のコードを実行されるおそれがある。

一方「CVE-2026-19547」は、Windows版におけるPostScriptリソースファイルの検索処理に起因。認証済みのローカルユーザーが特定のディレクトリに不正なファイルを配置することで、別のユーザーやサービスが「Ghostscript」を起動した際、そのプロセスの権限で任意のコードが実行されるおそれがある。

共通脆弱性評価システムにおける「CVE-2026-39919」の評価を見ると、「CVSSv3.1」ではベーススコアが「9.8」「CVSSv4.0」では「9.3」、重要度は「クリティカル（Critical）」とされる。「CVE-2026-19547」は「CVSSv4.0」が「7.0」となり、「高（High）」と評価されている。

（Security NEXT - 2026/10/13 ）ツイート

PDF処理ソフト「Ghostscript」の深刻な脆弱性 - 詳細が明らかに

関連リンク

PR

関連記事